Authentification basée sur les certificats pour RDP

Vous pouvez utiliser SCEPman pour délivrer des certificats de connexion par carte à puce à vos utilisateurs. En les inscrivant à Windows Hello for Business (Microsoft Passport Key Storage Provider) ils peuvent utiliser ces certificats pour s'authentifier auprès des ressources sur site à l'aide de leur PIN Hello ou des options biométriques.

Cela permettra aux utilisateurs, par exemple, de se connecter à d'autres clients via le protocole Remote Desktop (RDP) en utilisant leurs identifiants Windows Hello for Business.

Configuration d'Active Directory

Prérequis

• Le certificat d'AC de SCEPman doit être publié dans le NTAuth magasin afin d'authentifier les utilisateurs auprès d'Active Directory
• Les Domain Controllers doivent disposer d'un certificat de Domain Controller pour authentifier les utilisateurs de carte à puce
• Les Domain Controllers et les machines cibles doivent faire confiance à l'AC racine de SCEPman

Suivez notre guide sur les certificats de Domain Controller pour publier le certificat de l'AC racine de SCEPman dans le NTAuth magasin et émettre des certificats à vos Domain Controllers :

Certificats de Domain Controller

Vous pouvez créer un Objet de stratégie de groupe pour gérer la distribution du certificat racine aux machines concernées : Pour distribuer des certificats aux ordinateurs clients à l'aide de la stratégie de groupe

Le certificat doit être déployé sur tous les Domain Controllers qui gèrent les authentifications et sur toutes les machines cibles auxquelles les utilisateurs souhaitent se connecter à l'aide de cette méthode.

Veuillez noter qu'une fois le certificat racine de SCEPman publié dans le magasin NTAuth, les utilisateurs qui peuvent influencer le contenu des certificats émis par SCEPman (par exemple, des administrateurs Intune) peuvent usurper l'identité de n'importe quel principal Active Directory.

Déployer les certificats de carte à puce à l'aide d'Intune

Profil de certificat approuvé

Vos clients devront faire confiance au certificat racine de SCEPman.

Si vous utilisez déjà SCEPman pour déployer des certificats sur les clients de votre client, vous disposerez déjà de ce profil.

Certificat de carte à puce

Créez un profil pour Windows 10 et versions ultérieures avec le type certificat SCEP dans Microsoft Intune et configurez le profil comme décrit :

Type de certificat : Utilisateur

Format du nom du sujet : CN={{UserPrincipalName}}

Si le suffixe UPN des utilisateurs ciblés dans Entra ID est différent de celui utilisé dans Active Directory, vous devez utiliser CN={{OnPrem_Distinguished_Name}}

Nom alternatif du sujet : valeur UPN : {{UserPrincipalName}} et valeur URI : {{OnPremisesSecurityIdentifier}}

L'URI avec le SID est nécessaire pour disposer d'une mappage fort des certificats dans AD. Vous pouvez également configurer SCEPman pour ajouter une extension avec le SID aux certificats utilisateur et ne pas configurer l'URI.

Fournisseur de stockage de clés (KSP) : Inscrire à Windows Hello for Business, sinon échec (Windows 10 et versions ultérieures)

Utilisation de la clé : Signature numérique et Chiffrement de clé

Taille de la clé (bits) : 2048

Algorithme de hachage : SHA-2

Certificat racine : Profil de l'étape précédente (Profil de certificat approuvé)

Utilisation étendue de la clé : Authentification client et Journal de carte à pucedans

Authentification client, 1.3.6.1.5.5.7.3.2

Connexion par carte à puce, 1.3.6.1.4.1.311.20.2.2

URLs du serveur SCEP : Ouvrez le portail SCEPman et copiez l'URL de Intune MDM

Utilisez Windows Hello for Business pour vous connecter à des hôtes distants

Une fois le certificat déployé sur le client authentificateur, connectez-vous à l'hôte distant et sélectionnez le fournisseur d'informations d'identification Windows Hello for Business configuré.